近期，金山毒霸安全實(shí)驗(yàn)室通過“捕風(fēng)”威脅感知系統(tǒng)的數(shù)據(jù)監(jiān)控，發(fā)現(xiàn)一款名為“西瓜看圖”的惡意軟件。該軟件主要通過“荒野行動電腦版”、“抖音電腦版”等虛假下載器進(jìn)行傳播。該虛假器運(yùn)行后，實(shí)際安裝的是“蜻蜓助手”安卓模擬器，并由“蜻蜓助手”推廣安裝“西瓜看圖”木馬遠(yuǎn)控軟件。該軟件通過云控手段，進(jìn)行主頁劫持、圖標(biāo)推廣、軟件推廣、廣告彈窗等惡意行為。由于該木馬會在用戶磁盤中創(chuàng)建“Mint”的目錄，保存云控插件，所以我們特此命名為“Mint”木馬。

Mint木馬的傳播路徑：

虛假下載器運(yùn)行界面：

    該虛假下載器無簽名，無版本信息，點(diǎn)擊“立即安裝”會下載運(yùn)行“蜻蜓助手”，而不是用戶預(yù)想的“荒野行動網(wǎng)易版”?！膀唑阎帧卑惭b完畢后，會默認(rèn)勾選“西瓜看圖”（Mint木馬家族的母體），用戶如稍有不慎點(diǎn)擊“立即啟動”就會被植入木馬軟件。

模塊和流程功能模塊：

    Mint 云控木馬主要為6個(gè)功能：信息收集，廣告彈窗，軟件推廣，圖標(biāo)推廣，主頁劫持，更新變異。其中，廣告彈窗，軟件推廣，圖標(biāo)推廣和主頁劫持的具體內(nèi)容，均由云端進(jìn)行配置，通過下發(fā)文件的形式，在本地解析執(zhí)行；更新變異，則保證云控載體不斷更新和變形，以躲避殺軟查殺和更新功能。

功能模塊圖：

信息收集，主頁劫持，廣告等相關(guān)URL信息：

影響和分布：

    Mint木馬家族8月中旬開始爆發(fā)；9月中旬活躍達(dá)到峰值，感染用戶量達(dá)5W/天；10月之后活躍降低，近期又逐漸活躍起來。

    受感染的用戶中，占比最多的是1123變種（71.23%），其次是1122變種（17.11%）（因?yàn)樽兎N眾多，為了方便起見，我們暫且用文件名后面的版本號表示變種名稱。如url包含的文件名XiGuaViewer_1123.exe，表示1123變種）

變種分布圖：

金山毒霸安全專家建議：

1、不安裝來源不明的可疑軟件；

2、遇到默認(rèn)勾選框要格外小心；

3、安裝金山毒霸并開啟主防功能；

4、定時(shí)查殺和更新系統(tǒng)。

毒霸查殺Mint木馬截圖

詳細(xì)分析報(bào)告：http://bbs.duba.net/thread-23530889-1-1.html